보안 쉘쇼크(Shellshock)
2017.11.07 02:35
쉘쇼크(Shellshock)
test 방법
env x=' ( ) { : ; } ; echo bug ' bash -c "test"
정상 출력
test
비정상출력
bug
test
쉘 스크립트 언어의 Syntax 측면에서 파싱 구조를 살펴 보았을때 변수 x 에 항당하고 있는 값은 ' 가 시작해서 끝나는 지점까지를
해당 변수의 값으로 할당하여야 하지만 , 특수 문자 파싱의 오류로 인하여 ';' 문자 뒤의 echo 구문이 쉘 스크립트의 실행 구문으로 실행되어
문제가 발생하는것, 즉 echo bug 문자열은 콘솔 상 출력되지 않아야 할 변수 x 의 값이어야 하나 해당 문자열이 쉘 스크립트의 실행 영역으로
수행되면서 악의적인 명령어의 삽입이 가능하진다.
/bin/bash 를 사용하는 OS 에서 영향을 받습니다.
유닉스 계열 운영체제에서 쉘 스크립트(Shell Script)를 구동시킬 수 있는 명령어중 하나인 배시(Bash)에서 발견된 취약점은
배시버그(Bash Bug) 혹은 쉘쇼크(Shellshock)로 불리며
리눅스와 유닉스 등 GNU BASH를 사용하는 모든 운영체제에 영향을 끼칠 수 있습니다
BASH 명령 쉘(Command shell) 에 존재하는 취약점으로 보통 대부분의 Linux 운영체제, BSD, Mac OS X 등에서 사용됩니다.
BASH 명령 쉘 (Command shell)은 일반적으로 컴퓨터에 명령을 실행하거나 운영체제 서비스에 접속할 때 명령어 인터페이스를 사용하고
컴퓨터에서 명령어를 실행합니다. 쉘쇼크(Shellshock)를 이용하면 해커들이 배시의 명령어를 사용해 임의의 코드를 실행시킬 수 있습니다.
주요 웹 서버와 핸드폰, 라우터를 포함한 인터넷이 연결된 장치들은 Linux 또는 UNIX 기반의 운영체제를 사용하기 때문에
이 취약점은 심각한 위험을 초래합니다.
쉘쇼크(Shellshock) 취약점은 해커들을위한 백도어(Backdoor)를 생성할 수 있는데, 이를 통해 해커들이 악성코드를 자동으로
실행할 수 있습니다. 또한, 이 취약점을 이용하면 해커들은 아래와 같이 시스템에 영향을 끼칠 수 있습니다.
또한, 이 취약점을 이용하면 해커들은 아래와 같이 시스템에 영향을 끼칠 수 있습니다.
•시스템과 서버에서 악성 스크립트를 실행
•DDos 공격을 실행
•웹서버의 내용 수정
•악성코드를 확산
•스팸 및 피싱 메일 발송
•민감한 정보 접근 및 이용
•웹사이트 손상
Linux, Mac OS X와 같이 Unix 기반 운영체제는 영향을 받을 수 있습니다. 컴퓨터, 서버, 인터넷이 연결되어있는
가정용 장치(라우터, 비밀번호 입력방식의 도어 알람, 웹캠, Linux OS 에서 구동되는 wifi 라디오 등) 는 모두 영향을 받을 수 있습니다.
4.3 버전을 포함한 모든 버전이 취약한 것으로 알려져 있습니다. 패치 버전이 나와 있는지 확인하고 즉시 업데이트 해야 합니다.
- CVE-2014-6271, CVE-2014-7169, CVE-2014-7186, CVE-2014-7187, CVE-2014-6277, CVE-2014-6278 에 관한 패치를 즉시 설치 합니다.
댓글 0
번호 | 제목 | 날짜 | 조회 수 |
---|---|---|---|
64 | Tear Drop / Tiny Fragment / Fragment Overlap(고전적인방법) | 2017.10.17 | 9021 |
63 | Cain & Abel is a password recovery tool | 2018.03.12 | 8071 |
62 | 룰 기반의 IDS(침입탐지시스템) - snort | 2017.09.27 | 7691 |
61 | VPN | 2017.11.01 | 5139 |
60 | 보안관제 | 2017.11.01 | 4767 |
59 | tcpdump - dump traffic on a network [1] | 2017.10.13 | 4028 |
58 | 아파치 웹서버 보안설정 | 2017.11.01 | 3419 |
57 | 서버 공격에 대한 기법을 소개합니다.(고전적인 방법) | 2017.09.26 | 2014 |
56 | 정보보호시스템 구축을 위한 실무가이드 | 2019.03.20 | 1882 |
55 | 서버의 취약점 분석 할수 있는 도구들 | 2017.09.26 | 1720 |
54 | name server 보안 (bind) | 2018.04.26 | 1492 |
53 | 정보보안 국가기술자격 출제기준 개정 안내 | 2019.03.27 | 1376 |
52 | 시스템보안 | 2017.11.01 | 1314 |
51 | Smurf Attack / Land Attack / Ping of Death | 2017.10.17 | 1293 |
50 | 리눅스 기본 방화벽 iptable 요약정리 | 2017.09.26 | 1206 |
49 | netcat | 2018.10.09 | 1194 |
48 | 불필요한 HTTP Method 차단 | 2019.04.01 | 1167 |
47 | UDP 플러드 공격 - NTP, DNS, SSDP Amplification DDoS Attack | 2017.10.18 | 1137 |
46 | ICMP | 2017.11.01 | 1049 |
45 | 서버 취약점 점검 | 2019.10.31 | 1005 |